ARDAI/ML 支援アカウントに依存しない信頼
Dockfield ARD
異常な動作を検知。
復旧の判断を保護。
ARD は、ランサムウェアを考慮した復旧のための Dockfield のインテリジェントな検知・証拠レイヤーです。動作を継続的に観測し、独立した異常信号を比較して信頼度を調整し、説明可能な証拠を決定論的な復旧ポリシーへ提供します。
観測AWS と復旧の信号
→
検知動作の異常
→
調整証拠の信頼度
→
判断ポリシーと説明可能性
→
四角形信頼できない境界
→
復旧検証済みの経路
AI/ML アーキテクチャの概要
独立した証拠を優先。複雑さは測定可能な価値がある場合にのみ追加。
自己教師ありの時系列検知時間とともに通常の動作の文脈をモデル化し、学習した運用パターンに合わなくなったシーケンスを示します。
独立した統計的検知基準からの偏差、急増、変化のパターンが、解釈可能な第二の異常検知群を構成します。
任意の多重解像度特徴量メキシカンハットやその他の多尺度の信号特徴量は、十分なテレメトリー密度がある場合に活用できますが、普遍的な真実とは扱いません。
なぜメキシカンハットなのか？ この概念は、異なる尺度で周囲の文脈と比較して局所的な変化を強調できます。Dockfield は、この信号処理を任意の補助的な証拠として扱い、ランサムウェア分類の基盤とはしません。
証拠の融合
一つの異常がそのまま一つの自動復旧につながるわけではありません。
動作時系列パターンとシーケンスの変化。
統計偏差と変化に関する独立した証拠。
セキュリティ利用可能で信頼できる場合のセキュリティ環境からの信号。
回復復旧候補ポイントの完全性、来歴、信頼性。
調整された証拠異なる尺度の信号を、来歴を保持しながら比較可能な信頼度に正規化します。
→
説明可能な判断システムは、何が変化したか、どの証拠が寄与したか、どの決定論的ポリシーが次の操作を許可したかを記録します。
→
決定論的な安全ポリシー最終的な復旧操作は、単一モデルのスコアではなく、明示的で監査可能なポリシーで制御します。
ARD の配置
セキュリティアカウントが常に無事であるという前提から独立。
セキュリティとワークロードの環境重要な証拠源ですが、唯一の信頼の基点にはしません。セキュリティアカウント自体も疑わしいと判断できます。
→
ARD / レジリエンス判断プレーン独立した証拠を関連付け、現在のコントロールプレーンを信頼できるか継続的に検証します。
→
隔離された復旧境界隔離、検証、復旧を、影響を受けた信頼ドメインの外に移せます。新規アカウントや独立した組織での復旧も含みます。
セキュリティアカウントに影響セキュリティの証拠が劣化または信頼不能になっても、独立した証拠はレジリエンス判断経路で利用できます。
複数のアカウントに影響復旧ポイントの選定と隔離を、隔離された復旧境界へ移します。
既存の組織を信頼できない場合保護された復旧権限と証拠が利用可能であれば、新規アカウントや独立した組織への復旧を選択できます。
単一アカウントに依存しません。 ARD は、ワークロード、セキュリティ、復旧のアカウントを別々の信頼ドメインとして設計します。重大な侵害では、既存の AWS 環境を、自らの復旧を承認する権限ではなく、調査すべき証拠として扱えます。
ARD + Intelligent Recovery
検知は、復旧の判断を改善して初めて有用になります。
Dockfield は、異常の証拠を隔離、検証、隔離された復旧パターンへ直接結び付け、最終的な安全ポリシーを明示的に維持します。